Küberturvalisuse baastase

• 1. Võrgu turvalisus

  Enamik küberrünnakutest toimub võrgu kaudu ja nende edukus sõltub sellest, kui hästi on ühendused rünnakute eest kaitstud. Kui ettevõtte internetiühendusel puudub turvafilter, võib süsteemides igakuiselt hiilida tuhandeid kutsumata külalisi.

  Loen lähemalt

  Sulgen

  1. Võrgu turvalisus

  • Internetiühenduse turvalisus – kaitse oma kontori internetiühendust peamiste küberohtude vastu. Seda saad teha juba turvatud internetiühendust kasutades või ise turvateenustega ühendust kaitstes. Näiteks Telia Turvanet on juba sisseehitatud turvafiltriga kaitstud. Kui soovid ise internetiühendust kaitsta, siis saad eraldada interneti turvaliseks kohtvõrkude lahendusega või tulemüüriga.
  • Võrguseadmete hankimine ja utiliseerimine – sarnaselt teistele seadmetele hangi neid ainult usaldusväärse partneri käest. Võrguseadmeid nagu nt ruuterid ja wifi laiendajad soovitame osta teenusepakkujalt. Samuti saate siis turvaliselt seadmed teenusepakkujale ka tagastada, kes vastutab seadmete utiliseerimise ja info turvalisuse eest.
  • Võrguseadmete haldus – ka võrguseadmed vajavad uuendusi, patchimist, konfigureerimist ja varundamist. Võrguseadmeid tuleb regulaarselt uuendada, vähemalt kord aastas. Seda on võimalik osta ka kohtvõrgu lahendusena ja tulemüüri teenusena.
  • Wifi – eralda organisatsioonisisene turvaline võrk ja loo eraldi võrgud külalistele. Kuidas wifi-võrku luua.
  • Tootmisvõrkude turvalisus – ärikriitiline osa, mis jäetakse tihti tähelepanuta. Ka tootmiseks kasutatava võrgu puhul tuleb rakendada samu turvategevusi.
• 

  2. Seadmete turvalisus

  Just arvutite, nutitelefonide ning muude seadmete kaudu sisenetakse ettevõtte süsteemidesse ja rakendustesse ning liigutatakse tundlikke andmeid. Seega on oluline, et seadmetesse ei pääseks pahavara või pahatahtlikud inimesed.

  Loen lähemalt

  Sulgen

  2. Seadmete turvalisus

  • Seadmete haldus – jälgi, et seadmete tarkvara oleks alati uuendatud. Loen lähemalt.
  • Andmete krüpteerimine – siis ei juhtu valedesse kätesse sattunud seadme puhul sama andmetega.
  • Andmete varundamine – et seadme kadumine või mitte töötamine ei põhjustaks andmete kadu. Loen lähemalt.
  • Seadmete hankimine ja utiliseerimine – seade tuleb osta usaldusväärselt partnerilt, et sinna poleks juba eos pahavara sisse pandud. Samuti utiliseeri seade korrektselt, et andmed hiljem uut elu ei leiaks. Näiteks Telia Grupi ettevõte GreenIT pakub paindlikku arvutitehnika renti.
  • Pahavara kaitse – eksimine on inimlik, aga kui kasutaja kasvõi kogemata vale linki klikib või halvaloomulise faili avab, tõkestab ohu tarkvara. Pahvara eest kaitseb sinu seadmeid näiteks Telia Arvuti küberkaitse teenus või Viirustõrje- ja arvutikaitseteenus väikeettevõtetele.
  • Mobiilsete seadmete turve – üha enam kasutatakse andmetele ligi pääsemiseks mobiilseid seadmeid – ka nende turvalisus on oluline. Sinu mobiilseid seadmeid kaitseb näiteks Telia Mobiiliseadmete haldusteenus või Arvuti küberkaitse.

• 3. Kasutajate teadlikkus

  Ettevõtte turvalisuses mängib võtmerolli inimene, kes on tooli ja seadme vahel. Piisab ainuüksi klõpsust valele lingile, et valla päästa laastav rünnak. Kui töötajad oskavad küberohte ära tunda, oskavad nad ka turvaliselt tegutseda.

  Loen lähemalt

  Sulgen

  3. Kasutajate teadlikkus

  • Koolitused – üks küberturbe alustaladest. Koolitused on päriselt olulised, et töötajad oskaks ohte märgata ja neist hoiduda. Enamik ründeid saab alguse just massilise õngitsemise käigus saadud klikkidest. Töötajaid tuleb koolitada pidevalt ning käsitleda protsessina, mitte "linnuke kirjas" tegevusena, sest ohud ja olukorrad muutuvad. Koolituse sisu ega korraldust ei pea ise välja mõtlema ning korraldama, selleks on olemas toimivad e-lahendused mida on võimalik lihtsasti rakendada. Näiteks mugav Telia Küberkoolitus.
  • Korrad ja kokkulepped – igas ettevõttes tasub sõlmida kokkuleppeid, kuidas asju tehakse. Näiteks ülekandeid tehakse ainult partneri lepingus märgitud arvelduskontole ja kontonumbri muutmiseks on vaja sõlmida digitaalselt allkirjastatud lepingu lisa. Korrad ja kokkulepped ehk reeglistik peab olema kokku lepitud ja jõustatud. Reeglid võivad olla koormavad, aga selgusetus on halvem ning kõiki uusi ohte on ka teadlikul kasutajal raske ette näha.
  • Infomaterjalid – kõik need korrad, kokkulepped ja muud olulised teemad tuleb ka töötajateni viia. Otsustest pole kasu, kui töötajad ei tea neist midagi. Juhendid ja infomaterjalid on töötajatele olulised tugipunktid, et kõik korrad ja kokkulepped ning reeglid saaks kommunikeeritud ja töötajad nendega kursis oleks. Kui ettevõte on otsustanud, kuidas küberintsidendi korral käituda – mida teha, keda teavitada – siis on väga oluline, et ka kõik töötajad seda teaksid.
• 

  4. Paroolid jm ligipääsud

  Täpselt nagu lukustame oluliste ruumide uksed, tuleb kaitsta ligipääse ettevõtte ressurssidele ja andmetele. Kuidas aga üles ehitada turvalised süsteemid, kuhu omad saavad alati ligi, ka näiteks kodukontorist, aga võõrad kunagi ligi ei pääse?

  Loen lähemalt

  Sulgen

  4. Paroolid jm ligipääsud

  • Kasutage tugevaid paroole, vahetage neid regulaarselt ja ärge teistega jagage

    • Paroolid peaksid olema pikad. Näiteks 8-kohalise parooli murdmine võtab aega 40 minutit, 12-kohalise parooli murdmine aga tuhandeid aastaid.
    • keerukad – sisaldama lisaks tähtedele ka numbreid ja sümboleid
    • iga konto jaoks ainulaadsed – kui üks parool lekib, siis teised keskkonnad jäävad puutumata
    • Need ei tohiks põhineda isiklikel andmetel ega tavalistel sõnadel – neid on ründajatel lihtsam ära arvata

    Mugavuse huvides soovitame kasutada paroolihaldurit. Paroolihaldurid on programmid, äpid ja veebilehitseja lisad, mis genereerivad keerulisi salasõnu ning salvestavad need krüpteeritult turvalisse serverisse. Edaspidi pead meeles pidama ainult ühte salasõna, millega paroolihaldurisse siseneda.

  • Mitmetasandiline autentimine ehk MFA Multi-Factor Authentication on lisaturvalisuse komponent, mille kaudu saab kasutaja anda rakendusse või süsteemi sisselogimisel oma seadmest turvakinnituse, et tegemist on kindlasti õige isikuga. Nii ei piisa sisse logimiseks ainult ühest teadmisest (näiteks parool) vaid on vaja ka täiendavat faktorit, näiteks ligipääsu telefonile või võtmele, sõrmejälge, geograafilist asukohta vmt.
• 

  5. Serverite kaitse

  Kui töökohal kasutatavate seadmete kaitse tundub elementaarne, siis servereid kiputakse ära unustama. Läbi tuleb mõelda kogu serveri eluiga alates hankimisest ning paigaldamisest, lõpetades halduse, varundamise ja lõpuks utiliseerimisega.

  Loen lähemalt

  Sulgen

  5. Serverite kaitse

  • Serverite haldus – oluline on jälgida, et serverite turvauuendused oleks alati peal ja teenuste seadistamine ajakohane. Serveri haldamisel on abiks näiteks Telia Hübriidpilv.
  • Andmete varundamine – et seadme mitte töötamine või pahalaste poolt üle võtmine ei põhjustaks andmete kadu. Vt ka Telia Andmete pilves varundamise ja taastamise teenust.
  • Serverite hankimine ja utiliseerimine – seade tuleb osta usaldusväärselt partnerilt, et sinna poleks juba eos pahavara sisse pandud. Samuti utiliseeri seade korrektselt, et andmed hiljem uut elu ei leiaks. Vt nt Telia Serverlahendusi ja tugiteenuseid.
  • Serveri pahavarakaitse – tasub kasutada spetsiaalselt serverile mõeldud pahavarakaitset, mis on oluliselt efektiivsem ja võimekam. Nt Telia Serveri küberkaitse.
  • Serverite majutus – server peab olema igal ajal kättesaadav neile, kellel on vaja sellele ligi pääseda ning kättesaamatu kõigile teistele. Kui organisatsioonil endal serveriruumi ei ole, võiks servereid majutada mõne teenusepakkuja juures, mitte piltlikult öeldes kellegi laua all. Vt ka Telia Serverimajutust.

• 6. Rakenduste turvalisus

  Töös kasutatavate rakenduste valikul tasub turvalisust juba eos silmas pidada. Rakendused peavad olema aktiivselt hallatud, asjakohaselt uuendatud ning turvameetmete rakendamine ja andmete varundamine peab käima lihtsalt.

  Loen lähemalt

  Sulgen

  6. Rakenduste turvalisus

  • Rakenduste haldus – turvalisuse huvides peavad rakendused olema aktiivselt hallatud, näiteks administreeritud, ajakohaselt uuendatud. Rakenduste turvalisust tuleb regulaarselt hinnata ja jälgida. Turvalisuse regulaarseks hindamiseks sobib nt Telia Turvanõrkuste kontroll.
  • Rakenduste disain – täpselt nagu hindame rakenduste valikul efektiivsust ja kuluoptimaalsust, tasub tähele panna, et turvameetmed oleks lihtsalt rakendatavad.
  • Andmete varundus – hoolitse selle eest, et andmed oleks pidevalt varundatud. Telia Andmete pilves varundamine ja taastamine.
• 

  7. Ülevaade ja kontroll

  Organisatsioonil peaks olema selge ülevaade, mis nende ettevõttes toimub ja kes kuhu ligi pääseb, nt kas lahkunud töötaja ligipääsud on ikka eemaldatud. Samuti peaks toimuma pidev turvanõrkuste kontroll, et ainsad riskid oleks teadlikult võetud.

  Loen lähemalt

  Sulgen

  7. Ülevaade ja kontroll

  • Kasutajate õigused süsteemides – igaüks võiks ligi pääseda süsteemidele, kuhu tal on vaja ligi pääseda ja ei tohiks pääseda sinna, kuhu vaja pole. Organisatsioonil peaks olema selge protsess ligipääsude haldamiseks, et ei ununeks näiteks lahkunud töötajatelt ligipääsude eemaldamine.
  • IT-süsteemide monitooring – aitab silma peal hoida nii turvalisusel kui ressurssidel. Näiteks võib andmetarbimise järsk kasv viidata küberründele. Lisaks on hea teada, milline on süsteemi võimekus ja selle varu ning millal oleks aeg seda suurendada.
  • Turvanõrkuste kontroll – kõike, mis on võrku ühendatud, skaneeritakse väljast pidevalt turvanõrkuste suhtes. Mõistlik on seda ka ise teha ja olla teadlik, mis välja paistab ehk piltlikult öeldes kontrollida, kas lahti on mõni uks või aken, mis peaks kinni olema. Mõned aknad peavadki lahti olema ja see on äriline risk – lihtsalt need riskid peavad olema teadlikult võetud. Uksi-aknaid aitab üle vaadata nt Telia Turvanõrkuste kontroll.

• 8. Füüsiline turvalisus

  Ära lase ise pahalasi tuppa! Digitaalseid seadmeid tuleb kaitsta ka füüsilises maailmas. Jälgi hoolega, et sinu ruumidesse, võrku ja seadmete juurde pääseks ainult need inimesed, kellel on sinna päriselt asja.

  Loen lähemalt

  Sulgen

  8. Füüsiline turvalisus

  • Ära lase ise pahalasi tuppa! Samamoodi nagu turvad digitaalset maailma, tuleb digitaalseid seadmeid ka füüsilises maailmas kaitsta. Jälgi hoolega, et töötõendita võõrad majja ei pääseks. Muidu võib keegi ettevõtte sisevõrku isikliku seadme ühendada või oma USB-pulgaga kontoris olevat seadet pahavaraga „rikastada“. Pane tähele, et nii serverid kui võrguseadmed oleks mitme luku taga ja füüsiliselt pääseks neile ligi vaid autoriseeritud inimesed.

• 9. Valmisolek ootamatusteks

  Küberrünnaku riske saab vähendada, aga võimalus jääb alati alles. Paika tuleb panna ka see, mis intsidendi korral saama hakkab – mida töötajad tegema peaks, kuhu pöörduma, kes aitab intsidenti lahendada, kommunikeerida jne.

  Loen lähemalt

  Sulgen

  9. Valmisolek ootamatusteks

  Ennetavalt peaks olema tehtud vähemalt kaks kokkulepet:

  • Ettevõtte töötaja peab teadma, mida teha. Kui arvuti või tööjaam hakkab ühtäkki Bitcoine küsima, siis kelle poole pöörduda? Probleemist pilt teha ja sotsiaalmeediasse postitada ei ole ilmselt kõige parem mõte. Ettevõttes peab olema kokku lepitud vastutav isik ning kõik töötajad peavad seda teadma. See vastutav isik ei pea olema küberturbe ekspert, aga tal peab olema teada, mida selles olukorras teha.
  • Ettevõtte töötaja peab teadma, mida küberintsidendi kahtluse korral teha. Vastutaval isikul peab olema partner, kelle poole pöörduda ja kes aitab olukorda lahendada. Intsidendi ajal on juba hilja hakata partnerit otsima – siis on iga minut loetud. Börsiettevõtte puhul oleks hea, kui lisaks tehnilisele partnerile oleks teada ka PR-partner ning juriidiline partner, sest õige kommunikatsioon on samuti lahenduse võti.